Czym jest Rotacja kluczy?

Każdy klucz ma określony czas użytkowania. Im dłużej klucz pozostaje w użyciu, tym więcej danych jest nim szyfrowanych (co zwiększa materiał dostępny do kryptoanalizy), tym więcej okazji do jego wycieku lub kradzieży i tym większe szkody w razie kompromitacji. Rotacja kluczy ogranicza tę ekspozycję, zapewniając, że żaden pojedynczy klucz nie chroni więcej niż ograniczonej ilości danych przez ograniczony czas.

Strategie rotacji różnią się w zależności od typu klucza. Symetryczne klucze szyfrujące należy rotować na podstawie wolumenu użycia lub czasu — wiele standardów zaleca rotację, zanim klucz zaszyfruje więcej niż 2^32 bloków. Klucze API i poświadczenia usług są zazwyczaj rotowane zgodnie z harmonogramem (30, 60 lub 90 dni) lub natychmiast po podejrzeniu kompromitacji. Certyfikaty TLS mają wbudowane daty wygaśnięcia wymuszające rotację.

Efektywna rotacja kluczy wymaga systemów do niej zaprojektowanych. Aplikacje powinny obsługiwać jednocześnie wiele aktywnych kluczy (aby deszyfrować stare dane, szyfrując nowe najnowszym kluczem), a proces rotacji powinien być zautomatyzowany, by uniknąć błędów ręcznych. Key wrapping i szyfrowanie kopertowe upraszczają rotację: zmiana klucza głównego wymaga jedynie ponownego opakowania kluczy danych, a nie ponownego szyfrowania całego zestawu danych.

Jak Vaulted używa Rotacja kluczy

Efemeryczny projekt Vaulted omija klasyczny problem rotacji kluczy. Każdy sekret otrzymuje unikalny klucz AES-256-GCM, który istnieje tylko przez czas życia tego sekretu — nie ma długowiecznego klucza do rotowania. Gdy sekret niszczy się sam (przez limit wyświetleń lub wygaśnięcie), zarówno szyfrogram na serwerze, jak i klucz w udostępnionym łączu stają się nieistotne. Ten model jednego klucza na sekret daje silniejsze gwarancje niż okresowa rotacja, ponieważ żaden pojedynczy klucz nigdy nie chroni więcej niż jednego sekretu.